LONDON (IT BOLTWISE) – Manifold Security beschreibt mehrere Schwachstellen in Kommandozeilen- und Desktop-Tools für KI-Programmierung, bei denen eine.git-Konfiguration beim Öffnen eines Repos automatisch Angreifercode ausführt. Der Kern liegt im Git-Mechanismus core.fsmonitor: Git übernimmt dabei eine im Repository definierte Ausführungslogik, die schon vor Modellaufrufen und ohne Bestätigungsdialog startet. Je nach Agent passiert der Sprung in den Ausführungsfluss vor dem Workspace-Trust-Prompt, teils sogar bevor sich der Nutzer authentifiziert. Für Anwender bedeutet das: Gewohnte Archivfreigaben oder Sync-Ordner können gefährlicher sein als ein normaler Clone, weil dabei die.git-Struktur erhalten bleibt.
Die Meldung trifft weniger den „KI-Kern“ als die Vorstufen: Mehrere KI-Coding-Agents starten beim Session-Aufbau Prozesse, die ihren Arbeitskontext ermitteln. Genau diese Git-„Unterbodenarbeit“ kann ein bösartig präpariertes Repository ausnutzen, indem es in der eigenen .git/config Befehle hinterlegt, die Git beim Index-Refresh oder Status-Abfragen ausführt. Damit wird das Problem zu einer Art Brücke zwischen Dateisystem und Agent-Ablauf: Ein Agent muss nicht einmal eine Eingabe des Benutzers erhalten, weil der Auslöser vor dem eigentlichen Modell- oder Tool-Schritt liegt.
Im Zentrum steht dabei eine konkrete Git-Option: core.fsmonitor. Git nutzt diese Einstellung als Performance-Feature, indem es zum Identifizieren geänderter Dateien einen Kommandoaufruf ausführen kann. Wenn ein Agent in seinem Hintergrundprozess Operationen wie git status oder git diff anstößt, um Branch-Infos und diff-relevante Dateien zu bestimmen, greift Git genau zu diesem Mechanismus. Der entscheidende Punkt aus Sicht der Angriffsoberfläche ist, dass Git den Wert aus der Repository-eigenen Konfiguration liest – nicht aus einer „bereinigten“ Agent-Umgebung. In der Konsequenz reicht es, wenn ein erhaltenes Verzeichnis mitsamt der.git-Struktur in die Tool-Session gelangt, etwa über Shared Drives, Sync-Ordner, USB-Sticks oder bestimmte Archiv-Workflows, während ein normaler Clone die problematischen Metadaten typischerweise nicht als Dateien „ankommt“.
Manifold Security ordnet die Auswirkungen entlang der konkreten Agentenfunktionen ein: In mehreren Fällen läuft der problematische Code als Nutzerkonto außerhalb des Agent-Sandboxes und ohne explizite Freigabe. Die Befunde unterscheiden sich nach Produkt und Timing. Bei Claude Code und Hermes Agent feuert die schädliche Ausführung offenbar vor der Akzeptanz des Workspace-Trust-Prompts; bei Qwen Code vor der Nutzer-Authentifizierung; bei Grok Build bereits beim ersten Tastendruck. Für Organisationen ist diese Taktung praktisch relevant, weil „Teach-the-user“-Ansätze, die erst nach dem Trust-Dialog sensibilisieren, zu spät greifen, wenn der Schaden schon vor dem Dialog passiert.
Technisch wird außerdem deutlich, dass einzelne Fixes jeweils nur einen Ausschnitt schließen: Manifold berichtet, dass für goose (mit Versionen „vor 1.44.0“, behoben in 1.44.0), für Claude Code sowie für Cursor/Goose-ähnliche Pfade Updates verfügbar sind. Gleichzeitig blieb laut Retests am 1. September ein Teil der Agenten bei Manifold noch anfällig: Hermes Agent, Qwen Code und Grok Build warteten demnach auf passende Patches. Bei Claude Code nennt Manifold sogar zwei relevante Pfade: Einer davon sei über den core.fsmonitor-Pfad mit Version 2.1.196 adressiert worden, während ein zweiter Weg über den „claude ultrareview“-Modus nach wie vor aktiv gewesen sei; ob nachfolgende Releases das vollständig beendet haben, bleibt in den vorliegenden Angaben offen.
Dass das Thema nicht völlig neu ist, unterstreicht die Historie in anderen Toolketten. Sonar hatte bereits im April denselben „Sink“ (also den Ort, an dem das Kommando landet) beschrieben und dabei auch auf Umgehungen des Trust-Dialogs in Visual Studio Code vor Version 1.63.1 (mit Bezug auf CVE-2021-43891) sowie in JetBrains-IDEs vor 2021.3.1 (mit Bezug auf CVE-2022-24346) verwiesen. Diese Linie erklärt, warum Anbieter im Laufe der Zeit „Startup-Sequenzen“ verschieben oder einschränken: In Version 2.0.34 von Claude wurde etwa laut Sonar das konkrete Muster abgefedert, indem git status nicht mehr ausgeführt wurde, bevor der Trust-Dialog vom Nutzer akzeptiert ist. Manifold berichtet jedoch, dass ähnliche Startup-Charakteristiken später wieder in einer neueren Version auftauchten (z. B. bei 2.1.193, während 2.1.252 im Kontext der zweiten Route betrachtet wurde). Das zeigt ein klassisches Wartungsrisiko: Wenn neue Pfade entstehen oder Änderungen am Agent-Workflow vorgenommen werden, kann eine zuvor geschlossene Lücke reaktiviert werden.
Für die Absicherung ergibt sich daraus ein „Operations“-Thema, nicht nur ein Patch-Thema. Manifold empfiehlt als pragmatische Checks, vor dem Öffnen eines empfangenen Verzeichnisses die Datei .git/config zu inspizieren und dort nach relevanten Git-Schaltern wie core.fsmonitor zu suchen. Zusätzlich sollten Nutzer in problematischen Fällen git config –get core.fsmonitor im betreffenden Repository testen und auch die globale Konfiguration per git config –global –list|grep fsmonitor auditieren. Wird core.fsmonitor global deaktiviert, etwa via git config –global core.fsmonitor false, reduziert das das Risiko einer späteren Wiederverwendung. Daneben wird in der Praxis wichtig, dass Vendors bei Hintergrundaufrufen nicht nur „irgendeine“ Status-Operation vermeiden, sondern Git-Aufrufe so konfigurieren, dass der schädliche Pfad gar nicht greift – etwa indem der Aufruf explizit mit core.fsmonitor=false erfolgt.
Markt- und Branchenwirkung ergibt sich vor allem aus der Tatsache, dass die Schwachstelle an einer Schnittstelle entsteht, die viele Agenten gemeinsam nutzen: Ein Agent muss den Repository-Zustand verstehen, und Git ist dafür ein verbreiteter Mechanismus. Damit reicht ein einzelnes kompromittiertes Artefakt in der Lieferkette – nicht zwangsläufig eine kompromittierte KI-Software – aus, um aus „Repository öffnen“ eine Codeausführung zu machen. Manifold ordnet die Angriffe daher als Ausnutzung einer legitimen Git-Funktion ein, die durch Automatisierung im Agent-Workflow in eine neue Dimension kippt. Solange also Tooling die.git-Metadaten „mitnimmt“ und Hintergrund-Kommandos vor Vertrauensabfragen startet, bleibt die grundlegende Risikoform bestehen; erst wenn Agents Git-Operationen konsequent in eine sichere, aufgeräumte Umgebung verlagern oder den Problemfluss vollständig vor Nutzereingriff entkoppeln, sinkt die Angriffsfläche dauerhaft.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GitSpawn-Angriff: .git-config kann KI-Agents ohne Prompt Code ausführen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GitSpawn-Angriff: .git-config kann KI-Agents ohne Prompt Code ausführen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GitSpawn-Angriff: .git-config kann KI-Agents ohne Prompt Code ausführen« bei Google Deutschland suchen, bei Bing oder Google News!